Nie skaner bezpieczeństwa, tylko wektor ataku. Co kampania TeamPCP i Checkmarx mówią o tym, że narzędzia DevSecOps stały się nową powierzchnią ataku

przez admin | kwi 25, 2026 | Cyberflux

22 kwietnia 2026 roku, przez niecałą godzinę i dwadzieścia cztery minuty, każdy kto pobrał obraz Docker z oficjalnego repozytorium checkmarx/kics instalował złośliwy kod. Nie z podrobionej kopii repozytroium. Nie z fałszywej domeny. Z oficjalnego,...

Nie SQL injection, tylko Comment and Control. Co atak na Claude Code, Gemini i Copilot mówi o tym, jak wygląda następna generacja wstrzyknięć

przez admin | kwi 25, 2026 | Cyberflux

Aonan Guan otworzył zgłoszenie na GitHubie. W tytule wpisał złośliwą instrukcję. Asystent AI przeczytał ją, wykonał polecenia i wkleił skradzione klucze API z powrotem do komentarza pod tym samym zgłoszeniem. Żadnego zewnętrznego serwera. Żadnego złośliwego...

Nie jedna podatność, tylko protest. Co trzy zero-days w Microsoft Defender mówią o tym, jak psuje się relacja między badaczami a vendorami

przez admin | kwi 20, 2026 | Cyberflux

3 kwietnia 2026 roku badacz ukrywający się za pseudonimem Chaotic Eclipse — na GitHubie znany jako Nightmare-Eclipse — opublikował działający kod eksploita dla podatności w Microsoft Defender. Nadał mu nazwę BlueHammer. Nie zgłosił go wcześniej do programu...

Marimo: ciąg dalszy. Co zrobili z dostępem atakujący, którzy weszli w niecałe dziesięć godzin

przez admin | kwi 20, 2026 | Cyberflux

Pisaliśmy o CVE-2026-39987 w Marimo tydzień temu — notatniku programistycznym zaatakowanym w 9 godzin i 41 minut od ujawnienia podatności, bez publicznego kodu demonstracyjnego. Tamten wpis dotyczył tempa: jak szybko znika okno między ogłoszeniem a atakiem gdy...

Nie Mythos, tylko Opus. Co exploit Chrome za 2283 dolary mówi o tym, gdzie naprawdę jesteśmy z AI w pisaniu ataków

przez admin | kwi 19, 2026 | Cyberflux

Kiedy Anthropic ogłaszał Mythos Preview i Project Glasswing, narracja była prosta: model zbyt niebezpieczny żeby go publicznie udostępnić, dostęp tylko dla pięćdziesięciu wybranych organizacji, zdolności ofensywne na poziomie, jakiego wcześniej nie widziano....

Nie błąd w implementacji, błąd w projekcie. Co raport OX Security o STDIO w MCP mówi o tym, gdzie naprawdę leży odpowiedzialność za bezpieczeństwo protokołu

przez admin | kwi 19, 2026 | Cyberflux

Przez ostatnie wpisy cyberflux opisywał CVE w ekosystemie MCP jedno po drugim. Path traversal w mcp-server-git Anthropic, zdalne wykonanie kodu w serwerze Figma MCP, wstrzykiwanie kodu w Orval MCP. Brak uwierzytelnienia w Azure MCP Server z wynikiem CVSS 9.1....